webgoat-Cross Site Scripting XSS 跨站脚本攻击

 01

概念

本节课讲述了什么是XSS，并使用XSS执行那些非开发者本意的任务。

目标

了解什么是XSS，XSS如何工作？
学习反射型XSS及注入，基于DOM的XSS注入

02

What is XSS?

Cross-Site Scripting也叫XSS是一种漏洞，允许将未经编码或者过滤的HTML或者script标签作为输入渲染至浏览器。

Cross-Site Scripting (XSS) is the most prevalent and pernicious web application security issue

XSS是最流行和有害的web应用安全问题，尽管对于这种攻击有简单而知名的防护，但是仍然有很多XSS攻击问题。

XSS has significant impact

Especially as 'Rich Internet Applications' are more and more commonplace, privileged function calls linked to via JavaScript may be compromised. And if not adequately protected, sensitive data (such as your authentication cookies) can be stolen and used for someone else’s purpose.

随着富internet应用越来越普遍，如果没有充足的保护，敏感数据如认证cookie可能被窃取，并被利用。

例子s:

• 来自开发者工具的js控制台。

  alert("XSS Test");
  alert(document.cookie);

• 任何返回给客户端的数据域都可能被注入

Try It! Using Chrome or Firefox

• Open a second tab and use the same URL as this page you are currently on (or any URL within this instance of WebGoat).

• On the second tab, open the JavaScript console in the developer tools and type: alert(document.cookie);

• The cookies should be the same on each tab.

在控制台输入alert语句，可以发现返回的cookie是一样的。

03

Most common locations XSS漏洞常出现的地方

• Search fields that echo a search string back to the user 搜索框

• Input fields that echo user data 打印用户数据的输入框

• Error messages that return user-supplied text 返回用户输入的错误提示

• Hidden fields that contain user-supplied data 包含用户输入数据的隐藏域

• Any page that displays user-supplied data 任何显示用户输入数据的页面

  • Message boards 消息框

  • Free form comments 表单评论

• HTTP Headers  HTTP头

04

Why should we care?

XSS attacks may result in

• 窃取session coookie

• 创建伪造请求

• 创建假的域来收集credentials

• 将你的页面重定向至 "non-friendly"网站

•  以有效的用户身份伪造请求

• 窃取confidential information

• 在终端用户系统执行恶意代码 (active scripting)

• 插入敌意的不合适的内容

  GoodYear recommends buying BridgeStone tires...

XSS 攻击导致网络钓鱼

• A valid domain is used in the URL

05

XSS类型

Reflected反射型

• 用户请求的恶意内容被显示在用户浏览器

• 收到服务端响应后，恶意内容被写入页面

• Social engineering is required 需要广泛传播，否则只能攻击单个用户

• 使用从浏览器中的用户继承的浏览器权限运行

DOM-based (also technically reflected)基于DOM的XSS

• 客户端脚本使用用户请求中的恶意内容来编写html页面

• 与反射型XSS相似

• 使用从浏览器中的用户继承的浏览器权限运行

Stored or persistent 存储型XSS或者永久型

• 恶意内容被存储在服务端( in a database, file system, or other objects) 然后被展示在浏览器用户中

• Social engineering is not required 不需要广泛传播

06

Reflected XSS scenario

•  攻击者向用户发送恶意URL

• 用户点击链接加载恶意的web页面

• URL中嵌入的恶意脚本咋用户浏览器中执行

  • 脚本窃取敏感信息如session id被暴露给攻击者

用户未意识到攻击已经发生

07

Try It! Reflected XSS

本作业的目标是识别哪个field存在XSS漏洞

在服务端验证所有的输入是一个好的实践，当未经验证的用户输入被HTTP响应返回时，XSS攻击就可能发生。在反射型XSS中，一个攻击者可以伪造一个包含攻击脚本的URL，发送至其他网站，或者通过邮件发送给用户，让用户可以点击。

一个简单的找出一个field是否有XSS漏洞的方法是使用alert()或者console.log()方法。

分别在每个输入框输入，点击purchase，发现credit card number输入框可以显示alert，所以这个输入域有XSS漏洞。

08

Self XSS or reflected XSS?

自我XSS还是反射型XSS？

在上节执行的XSS脚本中，属于自我XSS，因为没有链接触发XSS，你可以尝试如下链接，看看发生什么。

/WebGoat/CrossSiteScripting/attack5a?QTY1=1&QTY2=1&QTY3=1&QTY4=1&field1=4128+3214+0002+1999&field2=111

 09

Reflected and DOM-Based XSS

基于DOM的XSS是反射型XSS的另外一种形式，这两种XSS都由链接出发，并将输入显示在浏览器中。不同点是，基于DOM的XSS，payload不会被发送到服务器。仅客户端就可以进行处理。

• 攻击者向用户发送恶意URL

• 用户点击链接

• That link may load a malicious web page or a web page they use (are logged into?) that has a vulnerable route/handler

• If it’s a malicious web page, it may use its own JavaScript to attack another page/URL with a vulnerable route/handler如果是恶意页面，会使用自身的js来攻击另外一个页面或者url

• The vulnerable page renders the payload and executes an attack in the user’s context on that page/site

• Attacker’s malicious script may run commands with the privileges of local account

用户不会意识到攻击的发生，攻击者不会使用如下脚本  

但是直接访问这个未编码的url是无效的。

测试的路由为test/，所以输入start.mvc#test并提交。

总结：本题是通过查找源码的测试路由配置，找到一个未过滤输入参数的url，构造payload，实现了XSS攻击，其中payload在js源码中通过html方法被写入document。这是一个基于DOM的XSS漏洞。

 11

Try It! DOM-Based XSS

使用第10节发现的route，执行如下函数，从route中反射参数

webgoat.customjs.phoneHome()

通过url在新的标签页触发，然后控制台会显示一个响应，输入响应中的随机数完成这个题。

构造如下url，访问http://127.0.0.1:8080/WebGoat/start.mvc#test/param1=foobar¶m2=DOMXSS%3Cscript%3Ewebgoat.customjs.phoneHome()%3C%2Fscript%3E

可以看到控制台已经输出了信息，提交  -503059157

 

12

学习Cross Site Scripting (XSS) | OWASP Foundation.并做题 

 Is JavaScript the only way to perform XSS attacks?

 No there are many other ways. Like HTML, Flash or any other type of code that the browser executes. 

Cross Site Scripting (stored)

Stored XSS

Stored Cross-Site Scripting is different in that the payload is persisted (stored) instead of passed/injected via a link.

存储XSS的不同点在于payload并存储在服务端，而不是通过link注入

Stored XSS Scenario

• 攻击者向 message board 发送恶意脚本

• Message 被存储在服务端数据库

• 用户阅读message

• The malicious script embedded in the message board post executes in the victim’s browser

  • The script steals sensitive information, like the session id, and releases it to the attacker

用户未意识到攻击已经发生

题目要求调用webgoat.customjs.phoneHome，在控制台会返回信息，在输入框输入phoneHome信息提交，需要注意每次调用该方法，返回的phoneHome会变化，需要输入最近一次调用的返回。

在comment输入 并发送

 控制台的number输入页面提交通过。

本题中，用户输入被存储到数据库，每当用户访问当前页面，都会在控制台输出信息。只需要一次攻击，就可以多次获取到数据。

Cross Site Scripting (mitigation) XSS防御

XSS defense

Why?

为什么要做防护？因为我们不想让其他人的代码运行在用户的上下文和他们登录的session中

What to encode?

防御XSS的基本原则是对任何不受信任的输入进行输出编码

甚至是数据库中的数据也不可信任。

When/Where?

Encode as the data is sent to the browser (not in your persisted data). In the case of Single Page Apps (SPA’s), you will need to encode in the client. Consult your framework/library for details, but some resources will be provided on the next page.

当数据被发送至浏览器时，对数据进行编码。

How?

• Encode as HTML Entities in HTML Body HTML body编码为html实体

• Encode as HTML Entities in HTML Attribute html属性编码为html实体

• Encode for JavaScript if outputting user input to JavaScript (but think about that …​ you are outputting user input into JavaScript on your page!!)为js进行编码，但需要注意那些用户会输入js的功能。（比如可以通过img标签在评论插入图片，有的网站是有这样的功能的，这时就要确保这些功能是可用的）

不要试图用黑名单来屏蔽如

 参考 OWASP Java Encoder | OWASP Foundation

 题目要求对给出的JSP file文件代码进行url参数escape

参考OWASP Java Encoder | OWASP Foundation

参考 OWASP Java Encoder | OWASP Foundation

 

有两种写法，这里直接看了源码，可以看到include要正确，first_name,last_name处要正确。

输入

<%@taglib prefix="e" uri="https://www.owasp.org/index.php/OWASP_Java_Encoder_Project" %>


    


    
Using POST Method to Read Form Data
    

        

            

                
First Name:
                
${e:forHtml(param.first_name)}
            
            

                
Last Name:
                
${e:forHtml(param.last_name)}
            
        
    

 提交通过

<%@taglib prefix="e" uri="https://www.owasp.org/index.php/OWASP_Java_Encoder_Project" %>：这一行引入了一个JSP标签库，其前缀为"e"，URI为"https://www.owasp.org/index.php/OWASP_Java_Encoder_Project"。这个标签库用于对输入进行编码，以防止XSS（跨站脚本）攻击。 

${e:forHtml(param.first_name)} 和 ${e:forHtml(param.last_name)}：这些是JSTL（JSP Standard Tag Library）中的表达式，用于从请求参数中获取"first_name"和"last_name"的值，并使用前面引入的OWASP Java Encoder标签库对它们进行编码，以防止XSS攻击。然后，这些编码后的值将被插入到HTML表格中。 

Stored XSS

One way to prevent stored XSS is the usage of OWASP AntiSamy. AntiSamy can produce a "clean" string based on an adjustable policy file.

如下java类，将评论插入至数据库。

public class MyCommentDAO {

    public static void addComment(int threadID, int userID, String newComment) {

                String sql = "INSERT INTO COMMENTS(THREADID, USERID, COMMENT) VALUES(?,?,?);";

                try {
                        PreparedStatement stmt = connection.prepareStatement(sql);

                        stmt.setInt(1, threadID);
                        stmt.setInt(2, userID);
                        stmt.setString(3, newComment);

                        stmt.executeUpdate();
                } catch (SQLException e) {
                        e.printStackTrace();
                }
        }
}

And here is a Java class that uses the addComment function

import org.owasp.validator.html.*;
import MyCommentDAO;

public class AntiSamyController {
    ...
    public void saveNewComment(int threadID, int userID, String newComment){
        MyCommentDAO.addComment(threadID, userID, newComment);
    }
    ...
}

java文件将未过滤的用户输入存储到数据库中。现在数据库中已经存储了恶意的代码

题目要求完善java方法来防御XSS攻击，并使用antisamy-slashdot.xml作为策略文件，提示可以看AntiSamy的文档。

 

参考 Category:OWASP AntiSamy Project - OWASP 

 1、需要导包

2、因为用户只会输入comment，所以只需要对newComment进行过滤

3、注意需要调用策略文件

4、通过方法cr.getCleanHTML()得到输出。

import org.owasp.validator.html.*;
import MyCommentDAO;

public class AntiSamyController {
    public void saveNewComment(int threadID, int userID, String newComment){
        Policy policy = Policy.getInstance("antisamy-slashdot.xml");
        AntiSamy as = new AntiSamy();
        CleanResults cr = as.scan(newComment, policy);
        MyCommentDAO.addComment(threadID, userID, cr.getCleanHTML());
    }
}

提交完成。

该题源码

总结：防御存储XSS，需要在插入数据库之前，对用户输入进行过滤。 

总结

XSS本质是通过给用户发送一个链接，用户点击后，执行链接携带的恶意的js脚本，窃取用户的信息，如cookie
XSS有不同分类：
反射型XSS也叫非持久性XSS    未对用户输入进行过滤而直接将输入显示在页面上 防御：输出前对用户输入进行过滤编码如将html标签编码为html实体
基于DOM型XSS   恶意代码被插入到DOM，通常是通过url配置进行注入
存储型XSS也叫持久性XSS   恶意代码被存储到数据库，每个访问应用的用户都可能被攻击 防御：在插入数据库之前过滤。